Una auditoría de seguridad web básica es una revisión sistemática de tu sitio para detectar vulnerabilidades comunes antes de que alguien las explote. Puedes completar una revisión inicial en menos de dos horas usando herramientas gratuitas y siguiendo esta lista de verificación.
¿Por qué auditar la seguridad de tu sitio web?
La mayoría de los ataques exitosos no aprovechan vulnerabilidades complejas: explotan configuraciones descuidadas, software desactualizado o credenciales débiles. Un sitio sin auditoría periódica es un blanco fácil.
Los riesgos concretos son reales:
- Robo de datos de clientes y multas regulatorias.
- Caída del posicionamiento en Google por blacklisting.
- Pérdida de confianza y ventas.
- Costos de limpieza y recuperación que superan los de la prevención.
Si aún no tienes SSL activo, ese es el primer paso antes de cualquier otra revisión. Consulta nuestra guía en la sección de seguridad SSL para empezar desde cero.
Paso 1 — Verifica el certificado SSL y HTTPS
Antes de cualquier herramienta, abre tu sitio en el navegador y observa la barra de direcciones.
- ¿Aparece el candado cerrado? ¿La URL comienza con
https://? - ¿Al escribir
http://tudominio.comredirige automáticamente a HTTPS? - ¿Aparece alguna advertencia de "contenido mixto" en la consola del navegador (F12 → Console)?
Para un análisis más profundo, ingresa tu dominio en SSL Labs (ssllabs.com/ssltest). La herramienta entrega una calificación de A a F y detalla problemas como protocolos obsoletos (TLS 1.0/1.1), cifrados débiles o cadena de certificados incompleta.
Qué buscar en el reporte de SSL Labs
- Calificación A o A+: configuración correcta.
- B o inferior: hay algo que corregir, generalmente en el servidor.
- HSTS activado: refuerza que los navegadores solo se conecten por HTTPS.
Paso 2 — Revisa las cabeceras de seguridad HTTP
Las cabeceras HTTP de seguridad son instrucciones que el servidor envía al navegador para reforzar la protección. Son invisibles para el usuario pero críticas para la seguridad.
Ingresa tu URL en securityheaders.com. Obtendrás una calificación y una lista de cabeceras presentes o faltantes.
| Cabecera | Para qué sirve | Prioridad |
|---|---|---|
Content-Security-Policy |
Bloquea scripts/recursos no autorizados (XSS) | Alta |
X-Frame-Options |
Previene clickjacking | Alta |
Strict-Transport-Security |
Fuerza HTTPS en el navegador | Alta |
X-Content-Type-Options |
Previene MIME sniffing | Media |
Referrer-Policy |
Controla qué se comparte en el encabezado Referer | Media |
Paso 3 — Escanea vulnerabilidades conocidas
Hay herramientas gratuitas que detectan problemas comunes de forma automática. Úsalas en este orden:
- Mozilla Observatory (
observatory.mozilla.org): análisis rápido de cabeceras, cookies y redirecciones. - WPScan (si usas WordPress): detecta plugins desactualizados, temas vulnerables y usuarios expuestos.
- Nikto: escáner de línea de comandos que identifica archivos sensibles expuestos, versiones de software reveladas y configuraciones peligrosas.
Importante: Usa estas herramientas únicamente en sitios que son de tu propiedad o para los que tienes autorización explícita. Escanear sitios ajenos sin permiso puede ser ilegal.
Qué revisar manualmente además del escaneo
- ¿El archivo
robots.txtexpone rutas administrativas o sensibles? - ¿Los mensajes de error del servidor revelan la versión del software (PHP, Apache, MySQL)?
- ¿Existe un archivo
readme.htmlolicense.txtque revele la versión de WordPress? - ¿El panel de administración (
/wp-admino/admin) es accesible sin restricción de IP?
Paso 4 — Verifica usuarios, contraseñas y permisos
El control de acceso es uno de los vectores de ataque más comunes. Revisa los siguientes puntos:
- Contraseñas débiles o por defecto: cambia todas las contraseñas de admin, FTP, base de datos y panel de hosting.
- Usuarios innecesarios: elimina cuentas de colaboradores que ya no trabajan contigo.
- Doble factor de autenticación (2FA): actívalo en el panel de hosting y en WordPress. Si usas cPanel, un proveedor de hosting confiable te lo ofrece de forma nativa.
- Permisos de archivos: en un servidor Linux los archivos deben ser 644 y los directorios 755. Evita 777 a toda costa.
Paso 5 — Revisa software desactualizado y copias de seguridad
El software desactualizado es la puerta de entrada número uno en sitios WordPress, Joomla o Drupal.
- Actualiza WordPress, temas y plugins a la versión más reciente.
- Desinstala plugins inactivos: aunque estén desactivados, siguen siendo un vector de ataque si tienen vulnerabilidades.
- Verifica que tienes una copia de seguridad reciente y funcional. Una auditoría sin backup es arriesgada.
Para automatizar las copias de seguridad y recibir alertas de seguridad, el equipo de elenlace.com puede configurar un plan de hosting gestionado que incluye monitoreo continuo.
Conclusiones clave
- Una auditoría básica cubre SSL, cabeceras HTTP, escaneo de vulnerabilidades, control de acceso y software actualizado.
- Herramientas gratuitas como SSL Labs, securityheaders.com y Mozilla Observatory cubren la mayor parte de la revisión inicial.
- Los errores más comunes son contraseñas débiles, plugins desactualizados y cabeceras de seguridad faltantes.
- Audita al menos una vez al trimestre o después de cualquier cambio importante en el sitio.
- Una auditoría sin copia de seguridad activa es un riesgo innecesario.
¿Quieres que un experto revise tu sitio y corrija los problemas encontrados? Visita elenlace.com y conoce los planes de seguridad web gestionada para negocios en México.
Preguntas frecuentes
¿Cada cuánto tiempo debo hacer una auditoría de seguridad web?
Lo ideal es una revisión básica cada trimestre y una auditoría más profunda cada año o después de cambios importantes como migraciones, rediseños o instalación de nuevos plugins.
¿Necesito conocimientos técnicos avanzados para auditar mi sitio?
No para una revisión básica. Las herramientas mencionadas (SSL Labs, securityheaders.com, Mozilla Observatory) generan reportes en lenguaje claro. Para vulnerabilidades de código o pruebas de penetración sí se recomienda contratar a un especialista.
¿WPScan es seguro de usar?
Sí, WPScan es una herramienta legítima y de uso extendido entre administradores de sitios WordPress. Existe una versión gratuita en línea y otra de línea de comandos. Úsala únicamente en tus propios sitios.
¿Qué hago si el escaneo detecta vulnerabilidades?
Prioriza por impacto: primero corrige las vulnerabilidades de alta severidad (acceso no autorizado, inyección SQL, ejecución remota de código). Luego las medias (cabeceras faltantes, información expuesta). Documenta cada corrección para el próximo ciclo de auditoría.
Compara proveedores
Otros proveedores y guías que vale la pena comparar:
